Virksomheten skal sørge for innebygd personvern i systemer som brukes til behandling av personopplysninger. Virksomheten må ta hensyn personvern når den velger system og leverandør av slike systemer.
Virksomheten må for eksempel sørge for at systemer den anskaffer og/eller utvikler har funksjonalitet for innsyn, retting, sletting og tiltak for dataminimering i tråd med regelverket.
Systemer som brukes i helsesektoren kan være underlagt krav fra både helselovgivningen og personvernlovgivningen. For eksempel må behandlingsrettede helseregistre utformes slik at de understøtter pasientforløpet under helsehjelpen, og slik at krav som
helsepersonelloven og pasientjournalloven retter mot virksomhetene og helsepersonell kan ivaretas. Blant annet må systemet være egnet til å ivareta eller understøtte helsepersonellets taushetsplikt, pasientens rett til informasjon og innsyn, helsepersonellets dokumentasjonsplikt og kravene til informasjonssikkerhet og internkontroll.
Når systemer brukes til behandling av personopplysninger, stiller personvernforordningen krav til innebygd personvern og personvern som standardinnstilling.
Disse kravene gjelder for virksomheter i helsesektoren på lik linje som andre virksomheter, og kravet retter seg mot både behandlingsrettede helseregistre, andre helseregistre og systemer som benyttes i forskning.
I praksis innebærer innebygd personvern at personvern må hensyntas både ved utvikling og drift av systemer. Funksjoner som bidrar til å bedre personvernet skal etableres i den grad det er mulig.
Systemer skal utformes slik at de registrertes rettigheter kan ivaretas. De registrertes tilgang til å få håndhevet sine rettigheter bør forenkles i den grad det er mulig. Et eksempel på hvordan dette kan gjøres er automatiske innsynsløsninger der en registrert kan logge inn og få direkte tilgang til opplysninger som oppbevares om vedkommende.
I følgende eksempel, illustreres praktiske konsekvenser av kravet til innebygd personvern for å ivareta de registrertes rettigheter:
Eksempel Normland sykehus skal anskaffe et nytt kvalitetssystem, som gjør det lettere å drive med kvalitetsarbeid. Sykehuset må ha ekstern bistand til utviklingen, og oppdraget legges ut som en anbudskonkurranse.
For å ivareta kravet til innebygd personvern, oppstiller sykehuset blant annet følgende krav i kravspesifikasjonen:
|
